Секторът на отбраната в Украйна и Източна Европа е станал мишена на нова, базирана на .NET задна врата, наречена DeliveryCheck (известна още като CAPIBAR или GAMEDAY), която може да доставя полезни товари на следващ етап.

Екипът за разузнаване на заплахите на Microsoft, в сътрудничество с Екипа за реагиране при компютърни инциденти в Украйна (CERT-UA), приписа атаките на руски национален държавен извършител, известен като Turla, който се проследява и под имената Iron Hunter, Secret Blizzard (преди Krypton), Uroburos, Venomous Bear и Waterbug. То е свързано с руската Федерална служба за сигурност (ФСБ).

„DeliveryCheck се разпространява по електронна поща като документи със злонамерени макроси“, заяви компанията в серия от туитове. „Той се запазва чрез планирана задача, която го изтегля и стартира в паметта. Той също така се свързва със сървър C2, за да изтегли задачи, които могат да включват стартиране на произволни полезни товари, вградени в XSLT стилове.“

Успешният първоначален достъп в някои случаи е съпроводен и с разпространението на известен имплант на Turla, наречен Kazuar, който е оборудван да краде конфигурационни файлове на приложения, дневници на събитията и широк набор от данни от уеб браузъри.

Крайната цел на атаките е да се ексфилтрират съобщения от приложението за съобщения Signal за Windows, което позволява на противника да получи достъп до чувствителни разговори, документи и изображения в целевите системи.

Забележителен аспект на DeliveryCheck е способността му да пробива сървъри Microsoft Exchange, за да инсталира компонент от страна на сървъра, използвайки PowerShell Desired State Configuration (DSC) – платформа за управление на PowerShell, която помага на администраторите да автоматизират конфигурирането на системите Windows.

„DSC генерира файл във формат на управляваните обекти (MOF), съдържащ скрипт на PowerShell, който зарежда вградения .NET полезен товар в паметта, като на практика превръща легитимния сървър в C2 център за зловреден софтуер“, обясняват от Microsoft.

Разкритието идва в момент, когато киберполицията на Украйна ликвидира огромна бот ферма с над 100 лица, за които се твърди, че разпространяват враждебна пропаганда, оправдаваща руската инвазия, изнасят лична информация, принадлежаща на украински граждани, и участват в различни схеми за измами.

В рамките на операцията бяха извършени претърсвания на 21 места, в резултат на които бяха иззети компютърно оборудване, мобилни телефони, над 250 GSM шлюза и около 150 000 SIM карти, принадлежащи на различни мобилни оператори.